3.1Cuentas, derechos y permisos
Lo esencial en 30 segundos
- Tres piezas: la cuenta (identidad), el grupo (necesidad compartida) y el permiso (derecho concedido sobre un recurso mediante una ACL).
- Los derechos se asignan a los grupos, nunca a las personas una por una: las altas y las bajas se gestionan por simple pertenencia.
- Mínimo privilegio: cada uno solo tiene lo estrictamente necesario; una cuenta de administrador de más es un riesgo, no una comodidad.
Mini-caso hilado — Sofiane recibe a una contable en Argel
Sofiane, técnico de soporte convertido en administrador de sistemas en una pyme de distribución en Argel, recibe a una nueva contable. La tentación sería marcar diez casillas de acceso una por una; en cambio aplica la lógica de la sección. Crea un grupo «Contabilidad», le asigna los permisos sobre el recurso compartido contable y luego simplemente añade a la recién llegada a ese grupo: hereda de golpe todos los accesos correctos. Comprueba que ninguna cuenta tenga derechos de administrador innecesarios y anota el reflejo: los derechos van a los grupos y las personas se gestionan por pertenencia.
Caso autónomo de esta sección: vuelve en el curso, el esquema, el guion y el reto 48 h de la sección 3.1.
1. Cuentas, grupos, permisos — las tres piezas
Tres piezas estructuran la gestión de accesos: la cuenta de usuario (una identidad), el grupo (un conjunto de usuarios que comparten una necesidad) y el permiso (lo que se tiene derecho a hacer sobre un recurso, mediante una ACL). La regla de oro cabe en una frase: los derechos se asignan a los grupos, no a las personas una por una. Sofiane siempre coloca estas tres piezas antes de repartir el menor acceso.
2. Por qué pasar por los grupos
Dar un acceso a «María», luego a «Karim» y luego a «Sonia» se vuelve pronto ingobernable. Se crea un grupo «Contabilidad», se le dan los derechos sobre el recurso compartido contable y se añaden o quitan personas del grupo. Un recién llegado hereda al instante los accesos correctos; una baja se resuelve con una sola acción, sin riesgo de olvidar un derecho que se quede por ahí.
3. El mínimo privilegio
El principio del mínimo privilegio: cada uno tiene solo los derechos necesarios para su trabajo, ni más. Se evita repartir derechos de administrador «para estar tranquilo»: una cuenta demasiado potente es un riesgo mayor si su contraseña se filtra, si el usuario se equivoca o si un malware se apodera de ella. Sofiane mantiene esta regla como brújula en cada solicitud de acceso.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Un recién llegado a contabilidad
Sonia se incorpora a la contabilidad de la pyme. Sofiane compara dos formas de hacerlo:
X Añadir a Sonia manualmente en cada carpeta/recurso/app
OK Añadir a Sonia al grupo "Contabilidad"
-> hereda al instante TODOS los accesos correctosLectura: el grupo porta los derechos; solo se toca la pertenencia de Sonia.
Lección: cuando se va, basta con retirarla del grupo: no queda ningún acceso olvidado.
Vocabulario de la sección
- Cuenta de usuario
- Identidad digital de una persona, con sus credenciales.
Ejemplo sencillo: Sofiane crea una cuenta para cada recién llegado.
Lo que no es: un grupo que reúne varias identidades.
Reflejo: una persona → una cuenta.
- Grupo
- Conjunto de usuarios que comparten una misma necesidad de acceso; es el que porta los permisos.
Ejemplo sencillo: El grupo «Contabilidad» recibe los derechos sobre el recurso compartido contable.
Lo que no es: un derecho puesto para una sola persona con nombre.
Reflejo: una necesidad compartida → un grupo.
- Permiso (ACL)
- Derecho concedido sobre un recurso (lectura, escritura…) mediante una lista de control de acceso.
Ejemplo sencillo: Sofiane pone el grupo en lectura/escritura sobre la carpeta de RR. HH.
Lo que no es: el ancho de banda asignado a un puesto.
Reflejo: derecho sobre un recurso → ACL.
- Mínimo privilegio
- Conceder solo los derechos estrictamente necesarios para el trabajo de cada uno.
Ejemplo sencillo: Sofiane rechaza el admin «para estar tranquilo».
Lo que no es: dar los derechos de administrador a todos los usuarios.
Reflejo: lo estrictamente necesario → mínimo privilegio.
- Cuenta de administrador
- Cuenta con derechos ampliados, que hay que reservar y proteger con especial cuidado.
Ejemplo sencillo: Sofiane solo usa el admin para las tareas de administración.
Lo que no es: una cuenta estándar usada a diario.
Reflejo: derechos ampliados → hay que protegerlos.
En la práctica — En la práctica — Diseñar un modelo de derechos
- Enumeren tres servicios (contabilidad, RR. HH., dirección) y sus necesidades de acceso, como Sofiane.
- Creen un grupo por necesidad y asígnenle los permisos sobre los recursos.
- Coloquen a cada usuario en el grupo o los grupos correctos, sin derecho individual.
- Comprueben que ninguna cuenta disponga de derechos de admin innecesarios.
Guion paso a paso — poner los derechos de un servicio como Sofiane (4 min)
1) Enumeren los recursos que hay que abrir (recursos compartidos, aplicaciones). 2) Creen un grupo que porte la necesidad (p. ej. «Contabilidad»). 3) Asignen a ese grupo los permisos sobre cada recurso, en el nivel correcto (lectura o lectura/escritura). 4) Añadan las personas al grupo, sin derecho individual. 5) Comprueben que ninguna cuenta conserve un derecho de admin innecesario.
Guarda este modelo: las altas y las bajas se convierten en una simple pertenencia que modificar, sin caza de derechos olvidados.
Modelo copiar-pegar — mi matriz de derechos
Recurso -> Grupo -> Nivel (lectura / escritura)
Recurso compartido contabilidad -> grupo "Contabilidad" -> lectura/escritura
Recurso compartido RRHH -> grupo "RRHH" -> solo lectura
Todos los demas -> ningun acceso
Regla : derechos A LOS GRUPOS ; personas por pertenencia ; minimo privilegioUn recién llegado
Sofiane añade al nuevo empleado al grupo correcto: hereda todos sus accesos de golpe.
Una baja
Sofiane retira a la persona del grupo: ya no queda ningún acceso olvidado.
Una solicitud de admin
Un servicio reclama los derechos de administrador: Sofiane aplica el mínimo privilegio y rechaza el exceso.
Una carpeta confidencial
Sofiane comprueba que ninguna cuenta estándar pueda alcanzar los datos confidenciales del servicio de RR. HH.
✓ Buenas prácticas
- Dar los derechos a los grupos, no a las personas.
- Aplicar el mínimo privilegio en cada solicitud de acceso.
- Reservar y proteger las cuentas de administrador.
✗ Errores frecuentes
- Atribuir accesos individuales por todas partes (ingobernable).
- Repartir el admin «para estar tranquilo».
- Olvidar retirar los derechos de quien se va.
Puntos clave
- Cuenta (identidad), grupo (necesidad compartida), permiso (derecho sobre un recurso).
- Los derechos se asignan a los grupos; las personas se gestionan por pertenencia.
- Mínimo privilegio: justo lo necesario, no más.
- Una cuenta admin de más es un riesgo, no una comodidad.
Reto 48 h — aplícalo mañana
Como Sofiane, dibuja la matriz de derechos de un servicio: un grupo, los permisos que porta (lectura o lectura/escritura) y las personas vinculadas por pertenencia. Comprueba que ninguna cuenta tenga un admin innecesario y escribe en una frase por qué los derechos van a los grupos y no a los individuos.
- Puedo explicar las tres piezas: cuenta, grupo, permiso.
- Asigno los derechos a los grupos y gestiono las personas por pertenencia.
- Aplico el mínimo privilegio y protejo las cuentas de admin.
Preguntas frecuentes
¿Por qué no dar simplemente el admin a todo el mundo?
Porque una cuenta de administrador puede modificarlo o destruirlo todo: un error, un malware o una contraseña robada causan ahí el máximo daño. El mínimo privilegio limita los daños y reduce la superficie de ataque.
¿Qué ocurre si los permisos se acumulan a través de varios grupos?
Los derechos se suman, y una denegación explícita suele imponerse sobre una autorización. De ahí el interés de un modelo simple: demasiados grupos que se solapan vuelven los accesos impredecibles.
En buenas prácticas, ¿a quién se atribuyen los permisos sobre un recurso?